Cyber disastro CrowdStrike

Cyber disastro CrowdStrike

Ormai è salito velocemente alla ribalta il Cyber disastro CrowdStrike che ha bloccato mezzo mondo a causa di un “incidente informatico”. Milioni di server e computer hanno smesso di funzionare mandando in tilt, aeroporti, banche, trasporti pubblici come ferrovie e sistemi di pagamento. In tutto il mondo.

In modo semplice, un aggiornamento del software per la sicurezza CrowdStrike ha distribuito un bug a tutti i sistemi Windows 11 creando la famosa “schermata della morte” di Windows e rendendo inutilizzabili tutti i server e gli applicativi connessi.

Ma analizziamo nel dettaglio tecnico quello che è successo con il Cyber disastro CrowdStrike.

CrowdStrike, una società statunitense molto popolare che fornisce servizi di sicurezza informatica, ha un prodotto chiamato Falcon che è installato in molti computer, in particolare Windows. Hanno rilasciato una patch per aggiornare il loro software tramite Internet, che ha avuto un’ampia distribuzione il 19 luglio 2024. Questa patch ha impedito ai computer che eseguivano Windows di avviarsi correttamente mostrando invece il famigerato ” Schermo blu della morte ” (BSOD) . Poiché questo era un problema nella fase di avvio stessa, ciò ha richiesto ai professionisti IT delle rispettive organizzazioni di avviare fisicamente ogni computer Windows in modalità provvisoria e rimuovere un file di canale (maggiori dettagli di seguito) affinché il sistema si avviasse di nuovo normalmente. Sebbene la causa principale sia stata identificata piuttosto rapidamente, risolverla richiede tempo perché è fisicamente impegnativo.

Informazioni su Falcon ed EDR

Per comprendere meglio questo problema, per prima cosa capiremo brevemente il componente in questione e il suo livello di privilegio. Il software che ha causato questo enorme problema BSOD è stato il driver Endpoint Detection and Response (EDR) di CrowdStrike , che fa parte della piattaforma chiamata CrowdStrike Falcon Sensor. Cosa fa questo software?

A cosa serve l’EDR di Falcon?

EDR è una soluzione di sicurezza informatica progettata per monitorare e rispondere alle minacce su endpoint quali computer, server e dispositivi mobili. Ecco i componenti e le funzioni chiave di EDR:

1. Raccolta dati : raccolta di dati dagli endpoint, tra cui informazioni sui processi, connessioni di rete e attività sui file. Questi dati sono fondamentali per rilevare anomalie e potenziali minacce.
2. Rilevamento delle minacce : EDR utilizza analisi avanzate, apprendimento automatico e analisi comportamentale per rilevare attività sospette. Può identificare minacce che le soluzioni antivirus tradizionali potrebbero non rilevare.
3. Risposta agli incidenti : quando viene rilevata una minaccia, EDR può rispondere automaticamente isolando l’endpoint interessato, terminando i processi dannosi e avvisando i team di sicurezza. Ciò aiuta a contenere e mitigare l’impatto della minaccia.
4. Analisi forense : EDR fornisce strumenti per un’analisi forense dettagliata, consentendo ai team di sicurezza di indagare sulla causa principale degli incidenti, comprendere il vettore di attacco e migliorare le difese future.
5. Integrazione dell’intelligence sulle minacce : le soluzioni EDR spesso si integrano con i feed di intelligence sulle minacce per fornire un contesto sulle minacce rilevate, comprese informazioni sulle tecniche di attacco note e sugli avversari.

Il ruolo del driver EDR

Il Falcon Sensor EDR include un componente driver . Questo componente opera a livello kernel. Questo driver serve per monitorare e raccogliere dati dagli endpoint in tempo reale. Il suddetto driver viene caricato molto prima nella fase di inizializzazione Pre-OS. Questa fase è chiamata fase ELAM (Early Launch Anti Malware ) . I driver ELAM sono solitamente i primi a essere inizializzati. Questo viene fatto in modo che possano monitorare e proteggere il sistema fin dall’inizio.

Il boot manager di Windows è responsabile del caricamento dei driver ELAM. Inizializza questi driver per garantire che qualsiasi malware che tenti di caricarsi all’inizio del processo di avvio possa essere rilevato e bloccato.

Dopo che i driver ELAM sono caricati, il kernel di Windows continua il processo di avvio che possiamo considerare la fase kernel . I driver ELAM rimangono attivi, fornendo una protezione continua mentre il resto dei componenti del sistema operativo viene inizializzato.

In che modo il driver EDR riceve gli aggiornamenti

Falcon riceve automaticamente gli aggiornamenti dall’infrastruttura cloud di CrowdStrike e gli aggiornamenti possono avvenire più volte al giorno.

L’incidente BSOD si è diffuso così rapidamente proprio a causa di questa caratteristica particolare.

Cosa ha causato il problema del Cyber disastro CrowdStrike?

Ora che abbiamo un’idea di base sul software che circonda l’incidente, entriamo nel vivo di ciò che ha causato il problema.

Un aggiornamento è stato spinto da CrowdStrike tramite la sua infrastruttura cloud agli endpoint. Questo aggiornamento è stato installato automaticamente in un numero enorme di sistemi Windows in tutto il mondo.

Questo aggiornamento riguardava una configurazione di sensori. L’aggiornamento è stato progettato per colpire le pipe denominate malevole di recente osservazione, utilizzate dai framework C2 comuni negli attacchi informatici. Le pipe denominate sono un metodo per la comunicazione tra processi e gli aggressori spesso le sfruttano per stabilire canali di comunicazione tra sistemi compromessi e i loro server di controllo.

L’aggiornamento specifico includeva modifiche ai file di configurazione del sensore, che stabiliscono come il sensore monitora e risponde a varie attività di sistema. Questi file di configurazione vengono utilizzati per adattare il comportamento del sensore a nuove minacce senza richiedere un aggiornamento software completo.

Un file di canale buggato (C-00000291*.sys) faceva parte di questo aggiornamento . Un file di canale nel contesto del Falcon Sensor è un file di configurazione che definisce regole specifiche di monitoraggio e risposta per il sensore. Questi file possono includere:

• Regole di rilevamento : criteri per identificare attività sospette o anomalie.
• Azioni di risposta : azioni predefinite che il sensore deve intraprendere quando viene rilevata una minaccia, come l’isolamento dell’endpoint o l’avviso ai team di sicurezza.
• Impostazioni di comunicazione : parametri che definiscono il modo in cui il sensore comunica con la console di gestione basata su cloud e altri componenti della piattaforma Falcon.

Il file di canale specifico ( C-00000291*.sys ) controlla il modo in cui Falcon valuta l’esecuzione di named pipe sui sistemi Windows. Questo file conteneva un errore logico che ha causato il crash del sistema operativo e quindi l’entrata in un boot loop.

I sistemi che eseguono Linux o macOS non utilizzano il file canale 291 e non sono stati interessati.

L’aggiornamento del file del canale ha innescato un errore logico che ha causato un errore di allocazione della memoria. Inoltre, c’era un difetto nella logica di convalida per le allocazioni di memoria. Poiché la logica di convalida non ha rilevato nulla di sbagliato nella logica di allocazione della memoria, il driver ha semplicemente continuato a funzionare come al solito. A causa di un’allocazione di memoria non corretta, ciò ha causato l’arresto anomalo del driver con PAGE_FAULT_IN_NONPAGED_AREA error.

Cosa può causare un errore di allocazione della memoria

Il driver ha allocato buffer per operazioni di pipe denominate ma non ha gestito correttamente questi buffer in tutti gli scenari. Ciò ha portato a situazioni in cui i buffer erano troppo piccoli o non correttamente allineati, causando violazioni di accesso alla memoria.

La logica di convalida per queste allocazioni di memoria era difettosa. Invece di controllare e garantire che la memoria fosse correttamente allocata e accessibile, il driver procedeva con operazioni che portavano a un accesso di memoria non valido.

Quando il driver ha tentato di accedere a queste posizioni di memoria gestite in modo improprio, ha attivato un PAGE_FAULT_IN_NONPAGED_AREA codice di arresto. Questo tipo di errore si verifica quando il sistema tenta di accedere a una pagina di memoria che non è presente nell’area di memoria non sottoposta a paging, che è riservata ai componenti di sistema e ai driver critici.

Perché l’arresto anomalo del driver ha causato BSOD e loop di avvio

Il crash del driver Falcon ha causato la schermata blu di errore (BSOD) di Windows, a causa del ruolo fondamentale che i driver svolgono nel sistema operativo.

Ruolo dei driver in Windows

Livello kernel : i driver operano a livello kernel, il che significa che hanno privilegi elevati e accesso diretto alle risorse hardware e di sistema. Ciò consente loro di eseguire attività essenziali, ma significa anche che eventuali errori possono avere gravi conseguenze.

Stabilità del sistema: i driver sono responsabili della gestione della comunicazione tra il sistema operativo e i componenti hardware. Se un driver non funziona correttamente, può interrompere questa comunicazione, portando all’instabilità del sistema.

Poiché il driver Falcon opera a livello kernel, la violazione dell’accesso alla memoria ha causato un errore critico del sistema. Windows ha rilevato questo errore e, per prevenire ulteriori danni o corruzione dei dati, ha avviato un BSOD. Il BSOD è una misura protettiva che arresta il sistema per prevenire ulteriori problemi.

Byte non nulli

Molti dei primi report suggerivano che il problema fosse dovuto ai byte NULL presenti nel file del canale. Ma CrowdStrike ha chiarito che non è così.

Pensieri conclusivi sul Cyber disastro CrowdStrike

Per un software così critico, come e perché non è stato verificato da parte di CrowdStrike prima di un lancio mondiale è qualcosa che sfugge alla nostra comprensione. In aggiunta a questo, se il nostro sistema operativo aveva BitLocker con chiavi archiviate in altri sistemi nella propria organizzazione, la correzione diventava ancora più macchinosa. La parte più difficile della correzione è che ogni sistema interessato richiede un intervento manuale per risolvere questo problema, il che richiederà uno sforzo enorme che richiederebbe giorni per essere risolto completamente.

Questo è stato un disastro di proporzioni monumentali per molte aziende in tutto il mondo. Dobbiamo ancora vedere quali misure le aziende adotteranno per impedire che simili incidenti si ripetano. Probabilmente un qualche tipo di test A/B o un lancio scaglionato avrebbe impedito un’interruzione così massiccia.

E’ inoltre probabile come le aziende colpite muovano delle richieste di risarcimento danni mentre CrowdStrike ha fatto subito segnalare un crollo in borsa.

Questo è stato un piccolo esempio che ci ricorda quanto la nostra vita è ormai completamente connessa, digitalizzata e dipendente dai sistemi informatici.

Bisognerà aspettare e vedere come evolveranno le cose da qui in poi e quali precauzioni verranno prese per il futuro.

Intanto possiamo utilizzare il sito downdetector (.it per la versione italiana) consente di monitorare in tempo reale le organizzazioni ed i siti che si trovano “down” e ci aiuta a capire quali servizi siano fuori uso.

(fonte)

Innovaformazione, scuola informatica specialistica segue costantemente il mercato IT e affianca le aziende nella formazione ambito information technology. Nell’ambito sicurezza IT trovate il Corso OWASP Sicurezza Web App ed il Corso DevSecOps .

INFO: info@innovaformazione.net – tel. 3471012275 (Dario Carrassi)